更新: [JWT] 附加威胁
作者: randomstuff创建于 2026年7月23日更新于 2026年9月5日
标签ACK_WAITINGUPDATE_CSHELP_WANTED
□缺少什么或需要更新什么?
清理公关2283后,内容要被充实.
□应如何解决?
增加一些关于威胁的内容:
- 关键类型混淆(-) 添加于#2283);
- 发行者混淆;
- 观众混淆;
- 符号类型(跨JWT)混淆; *盲目信任/跟随jwk,jku,x5u,x5t,x5t#S256头参数.
检查 :
- RFC88725
- [RFC88725之 (https://datatracker.ietf.org/doc/html/draft-itf-oaut-rfc8725bis-07 (草案))
内容来源: OWASP/CheatSheetSeries